✓ Überlebt Platz 1 von 18 VorschlägenIndie Sicherheit 4. Nov. 2026

Manipulationserkennung für KI-Agenten-Konfigurationen und MCP-Server

Scannt Entwicklerrechner laufend auf still installierte Agenten-Plugins, selbst genehmigte Hooks und unbekannte Remote-MCP-Endpunkte in Claude Code, Codex und Cursor.

Diskussion öffnen ↗

Ein fertiges Briefing für Claude Code, Cursor oder jeden anderen Coding-Agenten (auf Englisch).

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Tamper detection for AI agent configs and MCP servers
What it is: Continuously scans developer machines for silently installed agent plugins, self-approved hooks, and rogue remote MCP endpoints in Claude Code, Codex, and Cursor.
Who pays: Platform/security engineering leads at 100–2,000 person software companies rolling out AI coding agents; $200–800/mo team plan or $5–15/seat from the security tooling budget.
Closest alternatives: mcp-scan (Invariant Labs/Snyk), Snyk / Cisco AI security posture tools, generic EDR like CrowdStrike or Defender for Endpoint
The gap: Existing tools are point-in-time MCP scanners or generic endpoint agents; none continuously watch the actual agent-host config files (plugin marketplaces, hooks.state trusted hashes, MCP endpoint registrations) across a fleet of dev machines, diff them, alert on self-approval patterns, and offer one-click rollback.
Why now: The MCP/agent-plugin ecosystem exploded in the last ~12 months and this exact incident (1464 points, top of HN) just demonstrated a mainstream vendor abusing the installation surface; agent host trust models are new and unguarded.
Moat to build toward: A growing rule corpus of agent-host file formats, trust-record schemas, and known-bad installer behaviors across Claude Code/Codex/Cursor and future hosts; org-wide baseline data creates switching cost.
Biggest risk: Agent hosts (Anthropic, OpenAI) harden their own installers and ship built-in integrity checks, commoditizing the detection layer.

First three steps:
1. Build a CLI that snapshots and diffs ~/.codex, ~/.claude, and Cursor config trees, flagging new plugins, hooks, trusted_hash entries, and remote MCP URLs.
2. Ship a detection ruleset for self-approval patterns (installer writing its own trust record) plus a rollback/uninstall command per host.
3. Add a lightweight team mode that uploads diffs to a dashboard with alerts for security leads.

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

Gesamt6.5/10

Schmerz7

Zahlungsbereitschaft6

Timing8

Marktlücke6

Burggraben5

Machbarkeit7

Dafür

Wer zahlt

Leiter von Platform- und Security-Engineering in Softwareunternehmen mit 100 bis 2.000 Beschäftigten, die KI-Coding-Agenten einführen; Teamtarif 200 bis 800 $/Monat oder 5 bis 15 $/Sitz aus dem Security-Tooling-Budget.

Was die Leute sagten · 3

Der Installer von Postman hat Plugins automatisch in Codex und Claude Code installiert, seinen eigenen trusted_hash geschrieben, um seinen Startup-Hook zu genehmigen, und einen Remote-MCP-Endpunkt ohne Zustimmung des Nutzers registriert. Aus dem Artikel ↗
Ein Kommentator bewertet den Vorfall als Umgehung des Vertrauensmodells des Agenten-Harness, als Prompt Injection und als stille Registrierung eines ausgehenden Remote-MCP-Endpunkts. Kommentar lesen ↗
Ein Kommentator hat entdeckt, dass Postman Anfragen mit sensiblen Daten ohne Erlaubnis weiterleitete, und dies erst über Firewall-Regeln bemerkt. Kommentar lesen ↗

Sinngemäß aus der Diskussion wiedergegeben. Die Links führen zu den Originalkommentaren.

Wettbewerber und Lücke

mcp-scan (Invariant Labs/Snyk)Snyk / Cisco AI security posture toolsgeneric EDR like CrowdStrike or Defender for Endpoint

Bestehende Tools sind punktuelle MCP-Scanner oder generische Endpoint-Agenten. Keiner überwacht die tatsächlichen Konfigurationsdateien der Agenten-Hosts (Plugin-Marktplätze, hooks.state mit vertrauenswürdigen Hashes, MCP-Endpunkt-Registrierungen) laufend über eine Flotte von Entwicklerrechnern, vergleicht Änderungen, warnt bei Mustern von Selbstgenehmigung und bietet ein Rollback mit einem Klick.

Warum jetzt

Das MCP- und Agenten-Plugin-Ökosystem ist in den letzten rund zwölf Monaten stark gewachsen. Dieser Vorfall (1464 Punkte, Platz eins auf HN) hat gerade gezeigt, wie ein etablierter Anbieter die Installationsschnittstelle missbraucht. Vertrauensmodelle von Agenten-Hosts sind neu und ungeschützt.

Burggraben · 5/10

Ein wachsender Regelkatalog zu Dateiformaten der Agenten-Hosts, Schemata für Vertrauenseinträge und bekannten Installer-Verhaltensweisen bei Claude Code, Codex, Cursor und künftigen Hosts. Organisationsweite Basisdaten erzeugen Wechselkosten.

Dagegen

Red Team: mcp-scan arbeitet punktuell und EDR ist agnostisch gegenüber Agenten-Hosts. Die laufende flottenweite Auswertung von Vertrauenseinträgen der Agenten mit Rollback ist eine echte, gerade erst belegte Lücke mit starkem Timing.
Woran es scheitern würde: Die Agenten-Hosts (Anthropic, OpenAI) härten ihre eigenen Installer und liefern integrierte Integritätsprüfungen aus, wodurch die Erkennungsebene zur Massenware wird.

Start

Die ersten drei Schritte: Eine CLI, die die Konfigurationsbäume von ~/.codex, ~/.claude und Cursor snapshotet und vergleicht und neue Plugins, Hooks, trusted_hash-Einträge und Remote-MCP-URLs markiert.
Ein Erkennungsregelwerk für Selbstgenehmigungsmuster (Installer schreibt eigenen Vertrauenseintrag) plus einen Rollback- bzw. Deinstallationsbefehl pro Host.
Ein schlanker Team-Modus, der Diffs in ein Dashboard hochlädt und Security-Verantwortliche mit Warnungen versorgt.
Ursprüngliche Diskussion: Postman silently auto-installs AI plugins and attempts to share all API data ↗ 1.464 Punkte477 KommentareAus der StoryVerlinkter Artikel

Aus dem Englischen übersetzt. Original lesen

#	Wertung	Idee	Typ	Kategorie	Schmerz	Zahlen	Timing	Lücke	Graben	Bauen
1	6.4	Betriebsplattform für headless Mac-Build-FlottenFlotten-Betriebssoftware, die Wiederherstellung, Entsperrung und Imaging für Racks headless Macs automatisiert, die als CI-Build-Knoten laufen.	Indie	DevTools	7	6	7	6	5	7
2	6.2	Kontinuierliche adversariale Tests für Betrugsabwehr-StacksEin Red-Team-Dienst, der Betrugsregeln und Modelle mit simulierten, adaptiven Betrügern angreift und misst, wie schnell jede Abwehr umgangen wird, bevor echte Angreifer die Lücken finden.über Show HN	Venture	Sicherheit	7	6	6	7	5	5

Dafür

Dagegen

Start

Mehr aus dieser Ausgabe